Bester Authenticator 2026: Aegis vs. Authy

Das Handy ist weg – gestohlen, in den See gefallen, durch ein fehlgeschlagenes Update platt gemacht –, und als Nächstes fällt auf: Jeder „6-stelligen Code eingeben"-Login-Bildschirm ist gerade zu einer verschlossenen Tür geworden. Ob das eine Fünf-Minuten-Unannehmlichkeit oder eine echte Aussperrung wird, hängt vollständig davon ab, welche Authenticator-App gewählt wurde – Monate bevor überhaupt daran gedacht wurde.

TL;DR

Aegis ist Open Source, nur für Android, und speichert alles in einem lokalen, AES-256-GCM-verschlüsselten Tresor – nichts verlässt das Gerät, außer ein Backup wird selbst exportiert.
Authy synchronisiert Codes zur Bequemlichkeit geräteübergreifend in die Cloud, aber ein Datenleck 2024 legte über eine ungesicherte API-Schnittstelle die Telefonnummern von 33 Millionen Nutzern offen.
Google Authenticator hat 2023 ein Cloud-Backup eingeführt, aber Stand August 2026 sind diese Backups noch immer nicht Ende-zu-Ende verschlüsselt – Google kann sie technisch mitlesen.
Den Handyverlust zu überstehen ist der eigentliche Test für jede dieser Apps – die wenigsten proben die Wiederherstellung, bevor es zu spät ist.
Die richtige Wahl hängt davon ab, ob lokale Kontrolle, geräteübergreifender Komfort oder Google-Ökosystem-Einfachheit wichtiger ist.

KEY-STAT: 33 Millionen – Authy-Telefonnummern, die beim Datenleck 2024 über eine ungesicherte API-Schnittstelle offengelegt wurden

Aegis vs. Authy vs. Google Authenticator: Was wirklich anders ist

Alle drei Apps erledigen dieselbe Grundaufgabe – zeitbasierte Einmalcodes (TOTP) erzeugen –, unterscheiden sich aber vollständig darin, wo die Daten liegen und wer sie sehen kann:

Kategorie	Aegis	Authy	Google Authenticator
Open Source	Vollständig (GitHub)	Nein	Nein
Backup-Methode	Lokale verschlüsselte Datei, manueller/geplanter Export	Automatischer Cloud-Sync (Twilio-Server)	Automatischer Cloud-Sync (Google-Konto)
Backup-Verschlüsselung	AES-256-GCM, eigenes Tresor-Passwort	Verschlüsselt bei Übertragung und Speicherung	Nicht Ende-zu-Ende verschlüsselt, Stand August 2026
Konto erforderlich	Nein	Ja (Telefonnummer)	Google-Konto
Multi-Geräte-Sync	Nein (nur manueller Export)	Ja, eingebaut	Ja, eingebaut
Plattform	Nur Android	Android, iOS, Desktop	Android, iOS
Datenleck-Historie	Keines bekannt	Juli 2024 – 33 Mio. Telefonnummern offengelegt	Keines bekannt

Das Muster ist konsistent: Komfort und Sicherheit stehen hier gegeneinander. Authy und Google Authenticator synchronisieren Codes automatisch, sodass ein neues Handy nur einen Login vom Funktionieren entfernt ist. Aegis synchronisiert grundsätzlich nichts automatisch, weshalb bei einem Server-Datenleck schlicht nichts zum Offenlegen da war – es gibt keinen Server, der den Tresor hält.

Hinweis

Der Authy-Datenleck legte nicht die 2FA-Codes selbst offen – Twilios Verschlüsselung hielt stand. Geleakt wurden die mit Konten verknüpften Telefonnummern, nützlich für Phishing und SIM-Swapping-Ziele, aber nicht, um direkt jemandes Codes zu generieren. Trotzdem ein echtes Datenschutzversagen, nur nicht der schlimmstmögliche Fall.

Was tatsächlich passiert, wenn das Handy weg ist

Aegis läuft auf dem eigenen Android-Handy, und beim ersten absichtlichen Recovery-Test – ein Werksreset, kein echter Notfall – wurde die Lücke zwischen „ich habe ein Backup" und „ich komme tatsächlich wieder rein" schnell sichtbar. Aegis' verschlüsselte Tresordatei hilft nur, wenn sie schon vor dem Ausfall irgendwo exportiert wurde – ein „von einem neuen Gerät einloggen" gibt es nicht, denn genau das ist der Sinn des Designs. Die Wiederherstellung erfolgt aus einem manuellen Export in einem verschlüsselten Cloud-Ordner, und der gesamte Vorgang dauert etwa zwei Minuten, sobald der Export existiert – ist aber vollkommen nutzlos, wenn nie einer angelegt wurde.

Tipp

Legen Sie den ersten Backup-Export am selben Tag an, an dem Sie die App einrichten, nicht erst, nachdem Sie bereits ein Handy verloren haben. Ein zwei Minuten dauernder Test heute erspart eine dauerhafte Aussperrung später.

Authys Wiederherstellung läuft umgekehrt: App neu installieren, Telefonnummer verifizieren, und die Codes erscheinen wieder, weil sie die ganze Zeit synchronisiert wurden. Das ist deutlich weniger Reibung genau in dem Moment, in dem der Stress über das verlorene Gerät ohnehin schon da ist – der Preis dafür ist, dass Twilios Server etwas zum Synchronisieren vorhalten, und genau das wurde 2024 abgegriffen. Google Authenticators Cloud-Backup funktioniert genauso – auf einem neuen Handy mit demselben Google-Konto anmelden, und die Codes stellen sich automatisch wieder her, mit demselben Vorbehalt, dass Googles Server aktuell mitlesen können, was da wiederhergestellt wird.

Warnung

Wer Aegis oder eine andere rein lokale Authenticator-App nutzt und nie ein Backup exportiert, verliert bei Handyverlust dauerhaft den Zugriff auf jedes Konto, das keine eigene Fallback-Wiederherstellung anbietet. Der Export gehört an den Tag der Einrichtung, nicht an den Tag nach dem Verlust.

Warum Authys Komfort echte Kosten hat

Der Vorfall im Juli 2024 entstand, weil eine ungesicherte API-Schnittstelle Angreifern erlaubte, zu prüfen, welche Telefonnummern mit Authy-Konten verknüpft waren – die Gruppe ShinyHunters leakte in der Folge rund 33 Millionen davon in einem Hacking-Forum. Twilio schloss die Schnittstelle und spielte ein Sicherheitsupdate ein, und die geleakten Daten beschränkten sich auf Telefonnummern und Konto-IDs statt der verschlüsselten 2FA-Geheimnisse selbst – trotzdem ein klares Beispiel dafür, was „Cloud-synchronisierter Komfort" in der Praxis bedeutet: Es existiert eine zentrale Datenbank, und zentrale Datenbanken werden zum Ziel.

Authy ist zudem Closed Source, sodass keine externe Forschung genau prüfen kann, wie Sync und Verschlüsselung tatsächlich implementiert sind – man vertraut Twilios eigener Darstellung der eigenen Sicherheit, demselben Vertrauensmodell, das die offene Schnittstelle vor der Ausnutzung nicht abfing. Das macht Authy nicht im Alltag unsicher; es ergibt nur ein anderes Risikoprofil als eine App, die schlicht nichts Zentrales zum Leaken hat.

Welche App tatsächlich die richtige ist

Wer auf Android unterwegs und bereit ist, die eigene Backup-Disziplin zu übernehmen, findet in Aegis die stärkste Option – Open Source, kein Konto, keine serverseitige Angriffsfläche und volle Kontrolle darüber, wo der verschlüsselte Tresor liegt. Wie in unserem Guide zum selbst gehosteten Passwort-Manager beschrieben, ist das dasselbe Abwägungsmuster wie beim Betrieb von Vaultwarden statt eines Cloud-Anbieters: mehr Eigenverantwortung beim Setup, spürbar weniger Angriffsfläche.

Wer iOS-Support, mehrere Geräte braucht oder manuelle Backups schlicht nicht zuverlässig pflegen wird, für den ist Authys Komfort eine legitime Wahl – nur sollte die eigene Telefonnummer künftig als etwas exponierter gelten, mit Blick auf Phishing-Versuche rund um 2FA oder Konto-Wiederherstellung. Wer bereits tief im Google-Ökosystem steckt und eine App weniger im Kopf haben möchte, für den funktioniert Google Authenticator, mit dem ehrlichen Vorbehalt, dass die Cloud-Backups noch nicht Ende-zu-Ende verschlüsselt sind – relevant für alles, was als hochsensibel gilt, ähnlich den Konto-Wiederherstellungs-Abwägungen aus unserer Entscheidungshilfe für Passwort-Manager.

Unabhängig von der gewählten App zählt weniger die App selbst als die Frage, ob die Wiederherstellung tatsächlich getestet wurde, bevor sie gebraucht wird – dieselbe Lehre gilt für Backups jeder Art, einschließlich des verschlüsselten Chatverlaufs bei Signal, WhatsApp oder Telegram.

Häufige Fragen

Ist Aegis Authenticator sicher zu nutzen?

Ja – die App ist Open Source, speichert Codes in einem lokalen, AES-256-GCM-verschlüsselten Tresor und hat keine Cloud-Komponente, die geleakt werden könnte. Der Kompromiss: Die Verantwortung für das Anlegen und Aufbewahren eines eigenen Backups liegt vollständig bei Ihnen – ohne eines gibt es keine herstellerseitige Wiederherstellung bei Handyverlust.

Was passiert mit meinen 2FA-Codes, wenn ich mein Handy verliere?

Das hängt vollständig von der App ab. Cloud-synchronisierende Apps wie Authy und Google Authenticator stellen Codes auf einem neuen Gerät durch erneutes Anmelden wieder her. Rein lokale Apps wie Aegis stellen nur aus einem zuvor selbst exportierten Backup wieder her – ohne eines ist der Zugriff auf diese Konten dauerhaft verloren, sofern der jeweilige Dienst keine eigene Fallback-Wiederherstellung anbietet.

Wurde Authy gehackt?

Im Juli 2024 nutzten Angreifer eine ungesicherte API-Schnittstelle, um Telefonnummern zu identifizieren, die mit Authy-Konten verknüpft waren, und leakten rund 33 Millionen davon. Die 2FA-Codes und verschlüsselten Geheimnisse selbst waren nicht betroffen – der Datenleck betraf Telefonnummern und Konto-IDs, nicht die Fähigkeit, jemandes Codes zu generieren.

Ist das Google-Authenticator-Backup verschlüsselt?

Teilweise. Codes sind bei Übertragung und Speicherung auf Googles Servern verschlüsselt, aber Stand August 2026 ist das Backup nicht Ende-zu-Ende verschlüsselt, das heißt Google hält technisch die Schlüssel und könnte auf die Daten zugreifen. Google hat öffentlich Ende-zu-Ende-Verschlüsselung angekündigt, aber noch keinen festen Zeitplan genannt.

Was ist die beste Authenticator-App 2026?

Es gibt keine einzelne richtige Antwort – es hängt von den eigenen Prioritäten ab. Aegis gewinnt bei Kontrolle und Auditierbarkeit für Android-Nutzer, die bereit sind, eigene Backups zu pflegen. Authy gewinnt bei plattformübergreifendem Komfort trotz des Datenlecks 2024. Google Authenticator gewinnt bei Ökosystem-Einfachheit, wenn man bereits fest im Google-Ökosystem steckt, mit dem Vorbehalt, dass die Cloud-Backups noch nicht Ende-zu-Ende verschlüsselt sind.